手动漏洞挖掘原则：
所有变量都需要尝试，用各种各样的攻击方式去尝试每一个提交的变量，每一个可提交数据的位置。
所有头也需要去尝试挖掘漏洞，重点关注refer，cookie（名字，和值）
逐个变量去删除（把没有用的变量给删掉，看哪些变量在服务器中做了判断和执行）【burp中可以过滤没有参数的页面】
身份认证漏洞：
（1）暴力破解
试探登陆界面是否会锁定账号
不需要则可以使用常用弱口令，或者基于字典的密码爆破
在进行密码爆破前需要收集信息，如用户名收集，手机号收集，邮箱收集。
爆破时可以尝试查看服务器返回的errorcode，看是否将账号错误和密码错误分开显示
（2）密码嗅探
若与目标处于同一局域网中，或者能够截获目标流量（在客户端到服务器的链路中）的情况下。抓包，解密
（3）获取会话sessionID
sessionid：当成功登陆服务器后，服务器会下发一个长期的cookie值：sessionID。下次登陆时，则不需要输入账号密码也能成功访问web页面。
截取方法：
- XSS/cookie importer
- sessionID in url（极小部分的web application会将sessionid在url中传输）
- 嗅探（通过截获数据包）
- sessionID 生成算法（burp中sequencer判断sessionID是否够随机性，能否预判下一次登陆生成的sessionID）